Classement par critéres

1. Installation

Dans l’ensemble, l’installation des différents coupe-feu est relativement simple même si eTrust et VPN-1 oblige à passer par une étape de reconnaissance du réseau. Les solutions les mieux notées pour ce critère se caractérisent plutôt par l’étendue des options de traduction dynamique d’adresses IP (NAT). Le Firebox 4500 de WatchGuard se contente de partager une adresse IP externe unique pour toutes les connexions sortantes et impose d’attribuer à chaque nouvelle connexion entrante une adresse IP interne unique et cela de façon statique. WinRoute Pro, bien que destiné aux petites structures, obtient la meilleure note en se distinguant à la fois par une grande simplicité d’utilisation et par une fonction NAT complète. Le logiciel de Tiny Software propose ainsi la traduction dynamique par port (attribution pour une même adresse IP externe d’un port TCP différent pour chaque connexion entrante ou sortante).

2. Suivi d’activité

Parce qu’elle détermine la capacité à analyser les événements survenus sur le réseau, la lisibilité des journaux d’activités (fichiers de log) constitue, au même titre que les fonctions d’édition de rapports d’activité, un point déterminant pour évaluer la facilité d’exploitation d’un coupe-feu. Distançant nettement ses concurrents, le Firebox 4500 de WatchGuard joue la carte de la sobriété quant à l’interface de consultation du journal. Si l’on peut regretter l’absence de couleurs pour distinguer les événements importants des autres, la richesse des options d’édition de rapports séduiront les plus exigeants. A contrario, WinRoute Pro, qui, il est vrai, n’est destiné qu’aux petites structures, se contente de journaux d’activité très sommaires. Plus surprenant est le cas de eTrust Firewall qui n’a pas de fonction de création automatique de rapports.

3. Simplicité de création des règles

Pour définir les règles ou politiques de sécurité, les logiciels de ce banc d’essai adoptent des méthodes sensiblement différentes : les uns utilisent l’interface réseau (le port physique du coupe-feu) comme point de référence, tandis que d’autres partent d’une application (HTTP ou FTP). Mais au bout du compte, la solution la mieux notée sur ce critère, VPN-1 NG de Check Point, se distingue par son respect exemplaire de quatre principes essentiels : une interface simple permettant de visualiser facilement les règles créées et ce à quoi elles s’appliquent, des fonctions de vérification de l’intégrité des règles, l’étendue des options d’analyse des paquets IP et la capacité d’activer les règles en fonction des plages horaires. Si cette prise en compte de la tranche horaire est aussi prévue par eTrust de Computer Associates, elle est en revanche oubliée par WatchGuard. Ce dernier reste cependant dans le peloton de tête. Ces trois coupe-feu ont en effet en commun de vérifier systématiquement l’intégrité des règles créées ou modifiées.

4. Impact sur le réseau

Confronté à un flot de tentatives de connexions non-autorisées, le coupe-feu constitue un point de congestion, privilégiant par exemple la défense du réseau sur la réponse aux demandes de connexion légitimes. À l’issue de notre test, qui consistait à émettre simultanément des requêtes vers un serveur web situé dans la zone démilitarisée (DMZ) et vers un serveur dont l’accès n’est pas autorisé, il n’est pas possible de déterminer lesquels, des coupe-feu matériels ou logiciels, sont les plus efficaces sur ce point. Le VPN-1 de Check Point se distingue par son temps de réponse (4,37 secondes) alors que ses concurrents se contentent de temps de réponse d’environ 6 secondes. WatchGuard ferme la marche avec 8 secondes.

5. Réseau privé virtuel

Notre laboratoire a choisi de faire porter l’évaluation des fonctions de RPV en prenant le cas d’une connexion d’un travailleur distant. Contrairement à l’interconnexion chiffrée de sites, ce cas d’école permet de se faire une idée plus précise des capacités d’un coupe-feu à gérer des tunnels de RPV. Les trois solutions les mieux notées pour ce critère (Firebox 4500, VPN-1 NG et eTrust) ont en commun de gérer aussi bien l’installation et la configuration côté client que côté serveur. Ils proposent notamment leur propre client de RPV, évitant de devoir utiliser celui du système d’exploitation.

🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.